Colpa grave del cliente e oneri di prova della SCA nel phishing (ABF Collegio di Milano n. 3534 del 22.04.2026)

Principi di diritto (Massima)
Nelle controversie sulle operazioni non autorizzate disciplinate dal D.lgs. 27 gennaio 2010, n. 11, come modificato dal D.Lgs. n. 218/17, l’intermediario ha l’onere di provare l’autenticazione forte non solo delle operazioni disconosciute, ma anche di tutti i passaggi prodromici necessari alla loro esecuzione, inclusa l’attivazione dell’app di home banking su un nuovo dispositivo. Restano invece a carico del cliente gli oneri di allegazione e prova dei fatti che hanno consentito la truffa. Ove la SCA risulti documentata e il ricorrente non descriva le modalità dell’illecito, il ricorso è inammissibile nel merito per difetto di allegazione, senza che il breve lasso temporale tra l’alert e le disposizioni valga di per sé a integrare una responsabilità concorrente dell’intermediario.

Il Fatto

Il ricorrente agisce per ottenere la restituzione di € 1.500,00, oltre € 0,50 di commissioni, sottrattigli mediante due operazioni eseguite a debito del conto corrente: un pagamento e-commerce di € 650,00 e un bonifico istantaneo di € 850,00, entrambi del 12.06.2025. Espone di aver ricevuto, mentre era impegnato in un cantiere, una prima e-mail che segnalava l’attivazione dell’app di home banking su un dispositivo a lui sconosciuto e, pochi minuti dopo, una seconda e-mail che comunicava l’invio del bonifico. Solo in seguito, tentato l’accesso, trovava l’app bloccata e contattava la filiale.

Lamenta di non aver mai comunicato le proprie credenziali, di non aver ricevuto alcun SMS ma sole e-mail, e di essersi attivato nel giro di pochi minuti. L’intermediario resiste sostenendo la regolare autenticazione tramite SCA e la colpa grave del cliente per difetto di custodia e mancata attenzione agli alert, chiedendo in via subordinata l’accertamento del concorso di colpa.

La motivazione del Collegio

Il Collegio ricostruisce in primo luogo la sequenza tecnica. In data 12.06.2025, alle ore 15:48, l’app viene installata su un nuovo dispositivo tramite enrollment perfezionato con codice OTP inviato al device già certificato e correttamente inserito, con notifica via SMS e via e-mail; segue l’attivazione della SCA biometrica sul nuovo dispositivo. Il pagamento e-commerce delle ore 15:51 risulta autenticato mediante possesso del dispositivo e biometria, con notifica push dell’esito. Il bonifico istantaneo delle ore 16:03 risulta parimenti autorizzato tramite login sul dispositivo appena iscritto e successiva verifica biometrica.

Su questa base il Collegio ritiene assolto l’onere probatorio dell’intermediario: la Strong Customer Authentication è documentata per l’enrollment e per ciascuna delle due operazioni, secondo i requisiti di legge richiamati dalla disciplina di recepimento della direttiva sui servizi di pagamento. Il vaglio si sposta quindi sulla condotta delle parti e sulla eventuale colpa grave del cliente.

Qui il Collegio rileva il deficit argomentativo del ricorso. Nella denuncia e nell’atto introduttivo non si legge nulla di sufficiente sulle circostanze in cui si è inserita la truffa, in particolare sulla ricezione e sull’inserimento dell’OTP. A fronte della prova della SCA, dell’invio delle comunicazioni di alert, del blocco della carta disposto dall’intermediario per anomalia rilevata e del blocco del conto, il cliente non offre elementi idonei a ricostruire l’accaduto.

Il Collegio esamina anche l’argomento difensivo secondo cui l’enrollment su un nuovo dispositivo avrebbe richiesto cautele maggiori. L’osservazione è respinta: i fattori di autenticazione impiegati rispecchiano i requisiti di legge, per quanto è dato apprendere dalla documentazione prodotta. Quanto al breve lasso temporale tra l’avviso e le disposizioni, esso non dimostra da solo una negligenza dell’intermediario né un concorso di colpa, anche in assenza di circostanze che evidenzino artifici idonei a ingenerare equivoci sulla genuinità dei messaggi ricevuti.

Il ricorso è quindi non accolto, restando esclusa tanto la responsabilità esclusiva quanto quella concorrente dell’intermediario.